Будет ли Gmail соответствовать требованиям HIPAA в 2026 году?

Электронная почта — это наиболее уязвимая точка в сфере ИТ в здравоохранении, которая при этом чаще всего остается без должного внимания. Фишинг и атаки с использованием электронной почты остаются одними из основных векторов первоначального доступа при утечках данных в сфере здравоохранения. В среднем утечка данных в секторе здравоохранения обходится в колоссальные 9,77 млн долларов. 

Для борьбы с этой угрозой введены строгие нормативные требования. Например, если будет установлено, что ваша организация ненадлежащим образом обращалась с защищенной медицинской информацией (PHI) при использовании электронной почты, штрафы по закону HIPAA составляют от 100 000 до 1,5 миллиона долларов в год за каждую категорию нарушений.

Для многих медицинских учреждений и их ИТ-специалистов Gmail уже стал стандартом. Это привычная, широко поддерживаемая и глубоко интегрированная в повседневную работу платформа. В связи с этим возникает естественный вопрос: можно ли продолжать ее использовать, не подвергая свою организацию юридическим и финансовым рискам?

В этом руководстве дается ответ на вопрос «Соответствует ли Gmail требованиям HIPAA». В нем рассматриваются следующие вопросы:

• Требования HIPAA в отношении электронной почты,
• Какие тарифные планы Gmail подходят,
• Четыре условия, которым должна соответствовать ваша конфигурация, и
• Шаги по обеспечению соответствия Gmail требованиям HIPAA.
  

Начнём с первого вопроса:

Соответствует ли Gmail требованиям HIPAA?

Краткий ответ: Большинство версий Gmail не соответствуют требованиям HIPAA. Ниже приводится краткая таблица с разбивкой по тарифным планам:

Учетные записи Gmail для обычных пользователей и бесплатные учетные записи Gmail (не «бесплатный Gmail») не соответствуют требованиям HIPAA. Только платная подписка на Google Workspace (а именно тарифный план «Enterprise Workspace») может быть настроена с учетом требований HIPAA.

Google не предлагает соглашение о деловом партнерстве (BAA) для бесплатных планов Gmail, Business Standard или Business Plus, поэтому они не соответствуют требованиям. Любая организация здравоохранения или иные соответствующие организации, обрабатывающие защищенную медицинскую информацию (PHI) в рамках плана, отличного от Enterprise, действуют с нарушением требований.

Организации, подпадающие под действие закона, и их деловые партнеры должны обеспечить, чтобы все сервисы Google Workspace, используемые для обработки PHI, были включены в соглашение о деловом партнерстве (BAA). Это означает, что только платная подписка на Google Workspace может быть настроена в соответствии с требованиями HIPAA.

Однако одного лишь перехода на тарифный план «Enterprise Workspace» недостаточно для обеспечения соответствия Gmail требованиям HIPAA. Для соответствия Gmail требованиям HIPAA необходимо выполнить все четыре следующих условия:

• Ваша организация должна использовать тарифный план Google Workspace Enterprise.
  
• У вас должно быть подписанное соглашение о деловом партнерстве (BAA) с Google.
  
• Ваша ИТ-команда должна настроить необходимые средства безопасности в консоли администратора.
  
• Вы должны обеспечить соблюдение корпоративных правил использования электронной почты всеми пользователями в вашем домене.

Каждое из этих условий имеет одинаковую важность, и несоблюдение хотя бы одного из них подвергает вашу организацию риску нарушений. В следующих разделах подробно рассмотрено каждое из этих условий: что предоставляется Google по умолчанию, что требует настройки вручную и в каких случаях могут потребоваться дополнительные меры безопасности.

Что на самом деле требует HIPAA в отношении электронной почты

Закон HIPAA (Закон о переносимости и подотчетности в сфере медицинского страхования) устанавливает правовые нормы, регулирующие порядок обращения организаций с защищенной медицинской информацией. В отношении электронной почты действуют семь конкретных требований:

• Шифрование при передаче: Все электронные письма, содержащие PHI, должны быть зашифрованы с использованием протокола TLS (Transport Layer Security) при передаче между почтовыми серверами. Это защищает данные от перехвата во время доставки. TLS шифрует соединение между серверами, но не гарантирует сквозное шифрование самого содержания сообщения.
• Шифрование данных в состоянии покоя: PHI, хранящаяся в почтовых ящиках, архивах или на серверах, должна быть зашифрована, чтобы посторонние лица не могли прочитать ее в случае взлома системы хранения. Это требование отличается от требования о шифровании при передаче и применяется даже в тех случаях, когда электронная почта не отправляется и не принимается.
• Контроль доступа: Доступ к PHI должен быть предоставлен только уполномоченному персоналу. Это означает внедрение разрешений на основе ролей, а не использование общих почтовых ящиков с открытым доступом. Доступ должен предоставляться по принципу «необходимости знать» и незамедлительно отзываться, когда сотрудник меняет должность или уходит из организации.
• Журналы аудита: Ваша система должна регистрировать, кто, когда и откуда получал доступ к какой информации. Эти журналы должны храниться и быть доступны для проверки во время аудитов или расследований нарушений. Недостатки в ведении журналов являются частым предметом выявленных нарушений в ходе мер по обеспечению соблюдения требований OCR.
• Целостность данных: Запрещается изменять или уничтожать PHI без разрешения. Система должна обеспечивать защиту от случайного или злонамеренного вмешательства. Это включает в себя контроль версий, ограничения доступа и контрольные суммы, где это уместно.
• Соглашение о сотрудничестве (BAA): Любой поставщик, который обрабатывает PHI от вашего имени, включая вашего поставщика услуг электронной почты, должен подписать официальное соглашение, принимая на себя обязательства по HIPAA. Это делает вашего поставщика юридически ответственным за то, как он обрабатывает, хранит и защищает ваши данные.
• Уведомление о нарушении: В случае утечки PHI вы обязаны уведомить затронутых пациентов и Министерство здравоохранения и социальных служб (HHS) в течение 60 дней с момента обнаружения утечки. Уведомление, направленное вам вашим провайдером электронной почты в соответствии с договором, не удовлетворяет этому требованию от вашего имени.

Ниже приведено сравнение Google Workspace Enterprise с каждым из требований:

Четыре условия Gmail для обеспечения соответствия требованиям HIPAA

Компания Google создала инфраструктуру для обеспечения этих требований в рамках Workspace Enterprise. Однако для обеспечения соответствия требованиям ваша организация должна выполнить четыре отдельных условия, касающихся уровня вашего тарифного плана, юридических соглашений, технической настройки и внутренних политик.

Условие 1: Вы должны использовать Google Workspace Enterprise

Как указано в приведенном выше сравнении тарифных планов, Google Workspace Enterprise — единственный тарифный план, для которого может быть заключено соглашение о деловой конфиденциальности (BAA). Ни один другой тарифный план, независимо от его стоимости или набора функций, не соответствует требованиям HIPAA. У Google Workspace Enterprise нет официально опубликованной цены, поэтому вашей организации необходимо будет согласовать стоимость напрямую с отделом продаж Google Cloud с учетом количества пользователей и требований.

Условие 2: Вы должны подписать соглашение о сотрудничестве

Соглашение о деловом партнерстве (BAA) — это юридически обязывающий договор, в котором определено, как ваш почтовый провайдер обрабатывает защищенную медицинскую информацию (PHI) и какие меры принимаются в случае утечки данных. Без него ваш почтовый провайдер не несет юридической ответственности в соответствии с законом HIPAA, как и ваша система обеспечения соответствия требованиям.

Соглашение BAA выходит за рамки простого признания ответственности. В нём подробно описано, как Google будет использовать и раскрывать PHI от вашего имени, какие меры безопасности применяет Google, каковы обязательства Google по уведомлению вас о любых нарушениях или инцидентах, связанных с безопасностью, какие ограничения налагаются на субподрядчиков, которые могут обрабатывать ваши данные, а также условия, при которых соглашение может быть расторгнуто. Тщательное изучение этих условий вместе с вашим юрисконсультом является крайне важным шагом, а не простой формальностью.

Чтобы заключить соглашение о передаче данных (BAA) с Google, вам необходимо напрямую связаться с отделом продаж Google Cloud, запросить шаблон BAA, согласовать его с юридическим отделом вашей компании и подписать. Этот процесс может занять от 2 до 4 недель. После подписания соглашения сохраните подписанную копию в документации по обеспечению соответствия требованиям вместе с документами, подтверждающими дату вступления соглашения в силу.

Условие 3: Необходимо правильно настроить средства безопасности

Переход на тарифный план «Enterprise» и подписание соглашения о конфиденциальности (BAA) создают правовую и структурную основу, однако механизмы обеспечения соответствия требованиям не активируются автоматически. Ваша ИТ-команда должна вручную включить и обеспечить соблюдение следующих мер контроля в консоли администратора Google:

• Включить двухфакторную аутентификацию (2FA) для всех учетных записей
  
• Внедрить строгие правила по созданию паролей во всей организации
  
• Включите ведение журнала аудита для отслеживания доступа и действий
  
• Настройте правила защиты от утечки данных (DLP), чтобы предотвратить вынос PHI за пределы вашей среды
  
• Ограничьте обмен файлами, чтобы предотвратить несанкционированный доступ извне
  
• Отключить пересылку на внешние почтовые ящики

Ни одна из этих настроек не включена по умолчанию, и отсутствие хотя бы одной из них создает пробел, на который обратят внимание аудиторы и который станет поводом для принятия мер по обеспечению соблюдения требований.

Условие 4: Вы должны внедрить организационные политики

Техническая конфигурация охватывает лишь половину требований по обеспечению соответствия. Закон HIPAA также предписывает наличие задокументированных административных мер безопасности, регулирующих повседневную работу вашей команды с PHI. В вашей организации должны быть внедрены следующие политики:

• Оформить в письменном виде процедуры обработки данных документов
  
• Проведите обучение всего персонала по требованиям HIPAA и правилам использования электронной почты, а также организуйте постоянное повышение квалификации для предотвращения человеческих ошибок — одной из наиболее распространённых причин нарушений HIPAA, таких как отправка писем не по адресу или нарушения в системе шифрования
  
• Внедрить систему контроля доступа на основе ролей, чтобы сотрудники имели доступ только к той информации о здоровье пациентов (PHI), которая необходима для выполнения их служебных обязанностей
  
• Непрерывно отслеживать подозрительную активность и человеческие ошибки
  
• Разработайте и задокументируйте процедуру реагирования на нарушения до того, как произойдет инцидент

Без этих политик даже идеально настроенная среда Gmail не сможет соответствовать требованиям HIPAA в отношении административных мер безопасности в ходе аудита или проверки соблюдения нормативных требований.

Чего по-прежнему не хватает Gmail даже при наличии подписанного соглашения о конфиденциальности (BAA)

Выполнение всех четырёх условий обеспечивает Google Workspace Enterprise базовый уровень соответствия требованиям HIPAA, однако по сравнению со специализированными платформами электронной почты, разработанными в соответствии с HIPAA, остаются заметные пробелы. Ваша организация должна быть осведомлена о следующих ограничениях, прежде чем выбрать Gmail в качестве основного канала связи для передачи PHI:

• Отсутствие сквозного шифрования: Gmail шифрует данные как при передаче, так и при хранении, но не обеспечивает настоящего сквозного шифрования, при котором только отправитель и получатель могут прочитать содержание сообщения.
  
• Отсутствие автоматического шифрования: Шифрование исходящих сообщений требует ручной настройки, а не применяется по умолчанию ко всем электронным письмам, содержащим PHI.
  
• Отсутствие портала для получателей: Внешние получатели не имеют возможности получать PHI через безопасный, защищенный паролем портал, как это обеспечивают специализированные платформы HIPAA.
  
• Ограниченные журналы аудита: Журналы доступны, но им не хватает детализации и глубины, которые предлагают специализированные платформы обеспечения соответствия для расследований и отчетности.
  
• Составление отчетов о соответствии требованиям вручную: Gmail не генерирует автоматические отчеты о соответствии требованиям HIPAA, поэтому вашей команде приходится составлять документацию вручную.
  
• Только базовое обнаружение угроз: Встроенная фильтрация Gmail не предназначена для анализа угроз на уровне медицинских учреждений и может пропускать сложные целевые попытки фишинга.
  
• Отсутствуют комплексные функции безопасной электронной переписки: Gmail не предоставляет всех функций, необходимых для безопасной электронной переписки, таких как расширенный мониторинг, средства контроля доступа и инструменты обеспечения соответствия требованиям, которые предлагают специализированные решения для электронной почты, соответствующие требованиям HIPAA, для защиты конфиденциальной информации, такой как ePHI.

Как обеспечить соответствие Gmail требованиям HIPAA

Если ваша организация решила, что Gmail — подходящая платформа, выполните следующие шесть шагов для правильного обеспечения соответствия требованиям. Запланируйте от 6 до 8 недель и от 40 до 60 часов на настройку и обучение.

Шаг 1: Оцените свою текущую конфигурацию (1-я неделя)

Прежде чем что-либо менять, необходимо понять, с чем вы имеете дело. Проведите аудит использования Gmail во всей вашей организации: определите, какие учетные записи используются для работы с PHI, а какие — нет. 

Обратите особое внимание на общие почтовые ящики, к которым имеют доступ несколько сотрудников, правила автоматической пересылки, которые могут привести к отправке данных пациентов на внешние учетные записи, сторонние приложения, подключенные к Gmail, которые могут обрабатывать защищенную медицинскую информацию без соответствующего разрешения, а также любые устаревшие рабочие процессы, в которых для клинической переписки используется незашифрованная электронная почта. 

Опишите имеющиеся у вас меры безопасности и сопоставьте каждый пробел с семью перечисленными выше требованиями HIPAA. Результаты этой проверки станут частью вашей документации по обеспечению соответствия требованиям.

Шаг 2: Переход на Google Workspace Enterprise (1–2-я недели)

Свяжитесь со службой продаж Google Cloud, чтобы начать процесс перехода на версию Enterprise. В ходе этого процесса вы можете обратиться за помощью к технической команде Google, которая поможет обеспечить соответствие Gmail требованиям HIPAA и предоставит рекомендации по необходимым функциям безопасности на этапе перехода. Воспользуйтесь этой беседой, чтобы согласовать цены с учетом количества пользователей и одновременно инициировать запрос на заключение соглашения о деловой конфиденциальности (BAA). Обязательно уточните, какие сервисы Google охватываются соглашением BAA, поскольку не все сервисы Workspace включаются в него автоматически. Попросите письменное подтверждение, прежде чем приступать к миграции PHI.

Шаг 3: Подпишите соглашение о неразглашении информации (2–4-я неделя)

Запросите шаблон соглашения о передаче данных (BAA) у отдела продаж Google Cloud. Внимательно изучите его вместе со своим юрисконсультом, уделяя особое внимание срокам уведомления о нарушениях, обязательствам Google в отношении субподрядчиков и сторонних обработчиков данных, положениям об ответственности, перечню охватываемых услуг, а также тому, что считается инцидентом безопасности, подлежащим уведомлению в соответствии с соглашением. 

Обратите внимание на любые исключения, которые не распространяют действие соглашения о деловой конфиденциальности (BAA) на определенные функции Workspace, поскольку это может привести к пробелам в вашей системе обеспечения соответствия требованиям. После утверждения соглашения подпишите его и сохраните подписанную копию в документации по обеспечению соответствия требованиям.

Шаг 4: Настройка средств безопасности (4–5-я неделя)

Систематически проработайте каждую меру технического контроля. Включите обязательное использование двухфакторной аутентификации (2FA) и рассмотрите возможность введения требования об использовании аппаратных ключей безопасности для учетных записей с наибольшим риском утечки конфиденциальной медицинской информации (PHI). Установите минимальные требования к сложности паролей в соответствии с рекомендациями NIST. 

Включите ведение журнала аудита и убедитесь, что срок хранения данных соответствует потребностям вашей организации. Создайте правила DLP, позволяющие выявлять типичные фрагменты PHI, такие как номера социального страхования и идентификаторы медицинских карт, и протестируйте их на примере данных перед запуском в рабочую среду. 

Ограничьте настройки обмена внешними файлами и отключите несанкционированную пересылку электронной почты на уровне домена. После включения каждую меру контроля следует протестировать, чтобы убедиться в ее корректной работе.

Шаг 5: Внедрение организационных политик (5–6-я недели)

Разработайте и опубликуйте письменные процедуры по обращению с данными, в которых должны быть указаны допустимые способы использования Gmail для работы с защищенной медицинской информацией (PHI), обязательные методы шифрования, а также запрещенные действия, такие как пересылка данных пациентов на личные учетные записи. 

Проведите обучение по HIPAA для всех сотрудников, использующих электронную почту, и зафиксируйте факты посещения и прохождения обучения. Настройте контроль доступа на основе ролей в консоли администратора Google, чтобы каждый сотрудник имел доступ только к той защищенной медицинской информации (PHI), которая необходима для выполнения его должностных обязанностей. 

Проведите симуляцию сценария взлома (настольные учения), чтобы проверить вашу процедуру реагирования и выявить недостатки до того, как произойдет реальный инцидент.

Шаг 6: Развертывание и мониторинг (на постоянной основе)

Соблюдение требований HIPAA — это не разовое мероприятие. Регулярно просматривайте журналы аудита и настраивайте оповещения о подозрительной активности, такой как загрузка больших объемов данных, попытки входа в систему из необычных географических регионов или нарушения правил DLP. 

Проводите периодические проверки безопасности, чтобы выявлять отклонения в настройках. Пересматривайте настройки при каждом выпуске Google обновлений Workspace, которые могут повлиять на меры безопасности. Планируйте ежегодные курсы по обновлению знаний в области HIPAA и оформление соответствующей документации. 

Вести актуальный перечень всех систем, учетных записей и сторонних интеграций, которые имеют отношение к PHI.

Общий срок реализации: 6–8 недель.

Прежде чем утверждать этот график внедрения, стоит разобраться, чем Gmail отличается от почтовых платформ, разработанных специально для обеспечения соответствия требованиям HIPAA.

Gmail против специализированных почтовых решений, соответствующих требованиям HIPAA

Gmail — не единственный вариант для электронной почты, соответствующей требованиям HIPAA. Специализированные платформы электронной почты, разработанные с учетом требований HIPAA, предлагают иные компромиссные решения. Вот их прямое сравнение:

Главным преимуществом Gmail является, прежде всего, привычность. Если ваши сотрудники уже пользуются Gmail, а ИТ-отдел хорошо освоил администрирование Google Workspace, затраты на переход на другую платформу будут весьма значительными. Однако следует учитывать, что стоимость Gmail Enterprise составляет 30 долларов и более в месяц на одного пользователя с учетом всех затрат на внедрение, что зачастую обходится дороже, чем специализированные решения, которые изначально предоставляют больше функций для обеспечения соответствия нормативным требованиям.

Если ваша организация обрабатывает большие объемы медицинской информации (PHI) или работает в сфере с высоким уровнем риска, недостатки Gmail в плане шифрования и возможностей аудита должны стать важным фактором при принятии решения.

Какую бы платформу вы ни выбрали, есть один уровень безопасности, который ни Gmail, ни специализированное почтовое решение, соответствующее требованиям HIPAA, не обеспечивают самостоятельно.

Роль PowerDMARC в обеспечении безопасности электронной почты в сфере здравоохранения

Существует серьезный пробел, который не устраняется ни соглашением о предоставлении услуг (BAA) Gmail, ни вашей внутренней конфигурацией безопасности: подделка домена.

Даже идеально настроенная система Gmail Enterprise не способна предотвратить отправку злоумышленниками писем, которые выглядят как сообщения с вашего домена, при этом злоумышленники выдают себя за ваших врачей, сотрудников отдела биллинга или руководство, чтобы обмануть пациентов, партнеров или персонал. Это не теоретический риск. Фишинговые атаки, в которых подделываются домены медицинских учреждений, являются основным каналом проникновения, приводящим к утечкам данных, которые обходятся в среднем в 9,77 млн долларов.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) — это протокол аутентификации электронной почты, который устраняет этот пробел. Он работает в сочетании с SPF (Sender Policy Framework) и DKIM (DomainKeys Identified Mail) для проверки того, что электронные письма, якобы присланные с вашего домена, действительно исходят с ваших авторизованных почтовых серверов, а также для указания принимающим почтовым серверам отклонять или помещать в карантин сообщения, не прошедшие эту проверку. Настройка правильной политики DMARC — это механизм, который превращает ваш домен из уязвимого в защищенный.

PowerDMARC предоставляет вашей медицинской организации управляемый уровень аутентификации электронной почты корпоративного класса, специально разработанный для дополнения вашей существующей почтовой платформы, включая Gmail:

• Мониторинг и обеспечение соблюдения DMARC: Переход от разрешительной политики «none» к активной карантинной политике или отклонению сообщений без нарушения нормального потока легитимной почты.
• Настройка и проверка SPF и DKIM: Убедитесь, что каждый источник отправки прошел правильную аутентификацию.
• BIMI (Индикаторы бренда для идентификации сообщений): Отображение логотипа вашей организации в почтовых ящиках пациентов, что способствует укреплению доверия и снижению эффективности поддельных писем, имитирующих официальные сообщения.
• Отчетность по вопросам соответствия: Автоматически создавайте отчеты, соответствующие требованиям HIPAA, PCI-DSS и SOC 2.
• Аналитика угроз: Выявляйте в режиме реального времени неавторизованных отправителей, злоупотребляющих вашим доменом.
• Управление несколькими доменами: Управляйте аутентификацией во всех доменах вашей практики с помощью единой панели управления.

Последствия для организаций здравоохранения носят прямой характер:

• Предотвращает фишинговые атаки, направленные на пациентов с использованием идентификационных данных вашего домена
• Снижает риск утечки данных в результате подделки доменных имен — угрозу, которую невозможно устранить с помощью одного лишь соглашения BAA
• Повышает доверие пациентов благодаря визуальной аутентификации бренда (логотип BIMI в папке «Входящие»)
• Обеспечивает соблюдение требований HIPAA благодаря автоматизированной отчетности
• Обеспечивает надежную защиту за 8 долларов в месяц на пользователя, что составляет лишь небольшую часть стоимости устранения последствий одной утечки данных

Чего ожидать от систем безопасности электронной почты в 2026 году

Условия регулирования и угрозы, связанные с электронной почтой в сфере здравоохранения, становятся все более жесткими. Вот что следует ожидать вашей организации в 2026 году:

• Более строгое обеспечение соблюдения закона HIPAA: Министерство здравоохранения и социального обеспечения США (HHS) заявило об усилении аудиторской деятельности и повышении пороговых значений штрафов. Нарушения требований, которые ранее игнорировались, теперь становятся объектами принудительного исполнения.
• Обнаружение угроз с помощью ИИ: Злоумышленники используют ИИ для создания более убедительных фишинговых писем; защитникам необходимо обнаружение на основе ИИ, чтобы не отставать. Базовой фильтрации уже недостаточно.
• Ужесточение требований к уведомлению о нарушениях: Сроки уведомления, вероятно, будут сокращаться, что усилит операционную нагрузку на организации, не имеющие средств автоматизации обнаружения нарушений и реагирования на них.
• Введение обязательной многофакторной аутентификации: МФА уже является передовой практикой в соответствии с HIPAA; ожидается, что она станет явным требованием, поскольку регулирующие органы реагируют на рост числа нарушений, связанных с утечкой учетных данных.
• Аутентификация электронной почты становится стандартом: DMARC, SPF и DKIM переходят из разряда «рекомендуемых практик» в разряд «базовых требований». Регулирующие органы и крупные почтовые провайдеры одинаково настаивают на повсеместном внедрении этих стандартов, поскольку подделка доменов представляет собой реальную и актуальную угрозу для организаций здравоохранения, а применение DMARC является механизмом, позволяющим ее предотвратить.

Часто задаваемые вопросы

Соответствует ли Gmail требованиям HIPAA? 

Не совсем. Бесплатная версия Gmail не считается версией, соответствующей требованиям HIPAA. Только Google Workspace Enterprise может соответствовать требованиям HIPAA, и только при соблюдении четырёх условий, описанных в данном руководстве.

Сколько стоит обеспечение соответствия Gmail требованиям HIPAA? 

В случае Google Workspace Enterprise применяются индивидуальные тарифы, согласованные с отделом продаж Google Cloud. Само соглашение о обработке данных (BAA) предоставляется бесплатно. На настройку и обучение уходит от 40 до 60 часов рабочего времени внутреннего персонала, к чему добавляются расходы на услуги внешних юристов по проверке BAA. Общая стоимость, включая все расходы, обычно превышает 30 долларов США на пользователя в месяц.

Можно ли пользоваться Gmail без соглашения о конфиденциальности (BAA)? 

Нет. Если вы работаете с PHI, у вас должно быть подписанное соглашение о неразглашении информации (BAA) с вашим провайдером электронной почты. Работа без такого соглашения является прямым нарушением закона HIPAA, независимо от того, насколько надежно вы настроили свои технические параметры.

А что, если произойдёт взлом Gmail? 

Даже даже если ваша конфигурация обеспечивает соответствие Gmail требованиям HIPAA, компания Google обязана по договору уведомить вас об этом в соответствии с условиями соглашения о деловом партнерстве (BAA). Однако вы несете ответственность за уведомление затронутых пациентов и сообщение о нарушении в Министерство здравоохранения и социальных служб в течение 60 дней с момента его обнаружения.

Gmail лучше, чем специализированная почта, соответствующая требованиям HIPAA? 

Gmail более привычен пользователям, но для обеспечения соответствия нормативным требованиям требует гораздо большего объема настроек, а также имеет недостатки в плане сквозного шифрования и глубины аудита. Специализированная почта, соответствующая требованиям HIPAA, проще настраивать с точки зрения соответствия нормативным требованиям, но при этом сотрудникам приходится осваивать новый интерфейс. Правильный выбор зависит от существующих рабочих процессов вашей организации и допустимого уровня риска в плане соответствия нормативным требованиям.

В чём заключается разница между шифрованием данных при передаче и при хранении? 

Шифрование при передаче означает, что электронные письма шифруются во время передачи между почтовыми серверами, что защищает их от перехвата во время доставки. Шифрование при хранении означает, что электронные письма шифруются во время хранения на серверах, что защищает их от несанкционированного доступа в случае взлома систем хранения. Закон HIPAA требует соблюдения обоих требований.

• О сайте
• Последние сообщения

Ахона Рудра

Эксперт по безопасности доменов и электронной почты в PowerDMARC

Аона - менеджер по маркетингу в PowerDMARC, имеет более чем 5-летний опыт написания статей на темы кибербезопасности, специализируясь на безопасности доменов и электронной почты. Ахона получила диплом о высшем образовании по специальности "Журналистика и коммуникации", а с 2019 года начала работать в сфере безопасности.

Последние сообщения Ахона Рудра (см. все)

• Репутация IP-адреса или репутация домена: что поможет вам попасть в папку «Входящие»? - 1 апреля 2026 г.
• Мошенничество со страховыми выплатами начинается в почтовом ящике: как поддельные письма превращают рутинные страховые процедуры в кражу выплат - 25 марта 2026 г.
• Правило FTC о мерах безопасности: нужен ли вашей финансовой компании протокол DMARC? - 23 марта 2026 г.